Glossar
NIS2-Lieferkette
Auch: Lieferkettensicherheit, NIS2 Lieferanten, Supply-Chain-Security
Die NIS2-Lieferkette meint die Anforderung, dass Unternehmen, die unter NIS2 fallen, auch die Sicherheit ihrer Zulieferer und Dienstleister berücksichtigen. Zulieferer sind dadurch mittelbar betroffen, oft über Verträge und Fragebögen.
Was NIS2 hier verlangt
Zu den Maßnahmen, die die Richtlinie betroffenen Einrichtungen nennt, gehört die Sicherheit der Lieferkette. Sie sollen Risiken bei direkten Lieferanten und Dienstleistern bewerten und in der Zusammenarbeit berücksichtigen. Der Gesetzgeber meint damit vor allem IT-nahe Leistungen: Software, Hosting, Wartung und Beratung.
Die Folge für Zulieferer
Ein Zulieferer fällt allein durch seine Rolle nicht unter NIS2. Doch ein betroffener Kunde gibt die Anforderungen an ihn weiter, meist so:
- als Sicherheitsfragebogen vor oder bei einer Vertragsverlängerung
- als Klausel im Rahmenvertrag, etwa zu MFA, Backups oder Meldewegen
- als Nachweis, zum Beispiel ein Sicherheitskonzept oder ein Zertifikat wie ISO/IEC 27001
Das ist der häufigste Weg, auf dem ein KMU mit dem Thema in Berührung kommt: nicht über eine Behörde, sondern über einen Kunden.
Typische Fragen im Fragebogen
Wer sind die Verantwortlichen? Gibt es Mehr-Faktor-Authentifizierung? Wie werden Daten gesichert? Wie wird ein Vorfall gemeldet? Wer hat Zugriff auf unsere Daten? Wie sind Ihre eigenen Dienstleister abgesichert? Die Antworten sind in einem Microsoft 365-Tenant meist schnell zu belegen, wenn er sauber eingerichtet ist, etwa mit Mehr-Faktor-Authentifizierung und bedingtem Zugriff.
Was Sie tun können
Ein ehrlicher Überblick hilft mehr als jede Zusage: Welche Maßnahmen laufen bereits, welche fehlen, was lässt sich belegen? Wer das dokumentiert hat, beantwortet den nächsten Fragebogen in Stunden statt in Wochen.
Wie man sich vorbereitet
Legen Sie eine Mappe an, die die typischen Fragen beantwortet: Zuständigkeiten, eingesetzte Schutzmaßnahmen, Datensicherung, Meldeweg, Dienstleister. Aktualisieren Sie sie einmal im Jahr und nach größeren Änderungen. Prüfen Sie außerdem Ihre eigenen Lieferanten: Wer hat Zugriff auf Ihre Daten, und wie sichern diese Anbieter sich ab? Wer die Fragen, die er bekommt, auch selbst stellt, versteht sie besser. Zugesagt werden sollte nur, was sich belegen lässt, denn ein falsches Ja im Fragebogen kann später mehr schaden als ein ehrliches Noch nicht.
Einordnung
Ob Ihr Unternehmen selbst unter NIS2 fällt, klärt sich über die Einordnung als wesentliche oder wichtige Einrichtung. Die Hintergründe stehen im Beitrag NIS2: warum das Thema jedes KMU angeht, die technische Umsetzung unter NIS2-Umsetzung. Rechtliche Fragen beantwortet Ihre Rechtsberatung.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.